Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    IPSEC+Virtual IP

    Scheduled Pinned Locked Moved Russian
    18 Posts 2 Posters 3.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • S
      samwhet
      last edited by

      Я возможно не совсем правильно прорисовал на схеме туннель.
      Так как туннель строится между WAN и шлюзом оператора 212.58.166.42 и уже после построения с виртуального IP я могу пинговать нужный мне сервер телефонии 212.58.166.46
      Но думаю так тоже достаточно понятно будет.
      И еще, с локальной компьютера у которых шлюзом стоит LAN (6) пингуется 172.30.128.188.
      Я так представлял себе что мне либо необходимо 1)пробрасывать  с локальной сети через этот виртуальный IP и обратно, либо нужно сделать алиас на сервер IPPBX на локальном интерфейсе  типа 172.30.128.190 и как то запихнуть этот трафик через туннель IPSEC в направлении 212.58.166.46.

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by

        Честно ? Каша какая-то  :(

        Непонятно, зачем менять адресацию в своей сети ради подключения к SIP ? Во второй фазе ipsec указываете в Локал - свою подсеть, а Ремоте - 200.28.66.46. Это позволит "ходить" из вашей локальной сети к 200.28.66.46 через ИпСек-туннель.

        Может есть скрин бумаги, что выдал вам сип-провайдер? Или ссылка на их сайт с инс-цией по подключению?

        1 Reply Last reply Reply Quote 0
        • S
          samwhet
          last edited by

          @werter:

          Честно ? Каша какая-то  :(

          Непонятно, зачем менять адресацию в своей сети ради подключения к SIP ? Во второй фазе ipsec указываете в Локал - свою подсеть, а Ремоте - 200.28.66.46. Это позволит "ходить" из вашей локальной сети к 200.28.66.46 через ИпСек-туннель.

          Может есть скрин бумаги, что выдал вам сип-провайдер? Или ссылка на их сайт с инс-цией по подключению?

          Провайдер ни в зуб ногой. Возможности общения 0. Связь только с подсети и адресов сети зарезервированых оператором.
          Вот и у меня такая же каша в голове. Я бы с удовольствием вместо сети провайдера указал свою подсеть, но они так не делают!
          Вот атач скрина с их картинкой, кстати.
          И кстати, я пробовал ставить локалку во 2 фазе, но ipsec не создавал туннель.

          LOCAL.png
          LOCAL.png_thumb

          1 Reply Last reply Reply Quote 0
          • werterW
            werter
            last edited by

            А прямо с вашей IP-PBX можно ли построить туннель до SIP-провайдера ? Предварительно присвоив ее сетевой второй адрес (virtual ip) из 172.30.xxx.xxx ?

            На какой ОСи крутится ваша IP-PBX ?

            1 Reply Last reply Reply Quote 0
            • S
              samwhet
              last edited by

              @werter:

              А прямо с вашей IP-PBX можно ли построить туннель до SIP-провайдера ? Предварительно присвоив ее сетевой второй адрес (virtual ip) из 172.30.xxx.xxx ?

              На какой ОСи крутится ваша IP-PBX ?

              Прямо не хотелось бы высовывать IPPBX задницей в мир, а ipsec провайдер не дает за натом поднимать.

              У меня крутится asterisk+freepbx родная сборка фрипбикса. Если не ошибаюсь то они на RedHat Или Centos 6.5

              Поднять алиас так же пробовал, но у меня не получается загнать этот трафик с этой подсети через IPSEC.
              Делаю на pssense еще один алиас и чрезе него пинг идет. Через локалку нет. С другого алиаса пингуется 172.30.128.188, но дальше судя по всему ничего не проходит.

              1 Reply Last reply Reply Quote 0
              • werterW
                werter
                last edited by

                А может sip-провайдера легче сменить ? Неужто у него прямо такие сверхвкусные тарифы ?
                Какой-то он проблемный, честное слово. Первый раз такого вижу.

                1 Reply Last reply Reply Quote 0
                • S
                  samwhet
                  last edited by

                  @werter:

                  А может sip-провайдера легче сменить ? Неужто у него прямо такие сверхвкусные тарифы ?
                  Какой-то он проблемный, честное слово. Первый раз такого вижу.

                  К сожалению не проще. Меня интересуют его тарифы для звонков на сотовых операторов.
                  И как то после настроек других сип операторов и своих впн каналов чувствую себя полным идиотом.
                  По идее все должно быть просто, но что то у меня ничего не получается.
                  Мне как то нужно заткнуть трафик из подсети алиасов 172.30.128.Х в этот транк на сенсе. Тем более что 188 адрес пингуется с алиасов.
                  Странно вообще как то все. Вот надеялся, что народ подсобит идеями или кто встречался с такого рода извращениями.

                  1 Reply Last reply Reply Quote 0
                  • werterW
                    werter
                    last edited by

                    Покажите таблицу маршрутизации на pfsense при поднятом IPSec.

                    У вас нет разрешающего правила fw на LAN для 172.30.128.Х.

                    Скрин настроек Virtual IP на pfsense можно ?

                    P.s. А если все же создать этот вирт. IP на WAN pfsense , предварительно отключив блокирование серых сетей на WAN, и принудительно NAT-ить на этот вирт. адрес все что идет в Ipsec на адрес сип-сервера ?

                    1 Reply Last reply Reply Quote 0
                    • S
                      samwhet
                      last edited by

                      @werter:

                      Покажите таблицу маршрутизации на pfsense при поднятом IPSec.

                      У вас нет разрешающего правила fw на LAN для 172.30.128.Х.

                      Скрин настроек Virtual IP на pfsense можно ?

                      P.s. А если все же создать этот вирт. IP на WAN pfsense , предварительно отключив блокирование серых сетей на WAN, и принудительно NAT-ить на этот вирт. адрес все что идет в Ipsec на адрес сип-сервера ?

                      Правил, как я уже писал сейчас никаких нет. Убрал чтобы добавлять можно было по новой.
                      Вот на счет вирт.ip на wan не сильно понял. прицепить в принципе не проблема его, но что это даст?

                      IPSEC_SPD.png
                      IPSEC_SPD.png_thumb
                      VIRTIP.png
                      VIRTIP.png_thumb
                      ROUTE.png
                      ROUTE.png_thumb

                      1 Reply Last reply Reply Quote 0
                      • werterW
                        werter
                        last edited by

                        IPSec висит на WAN ? Так ведь ? Какой адрес получают пакеты от 172.30.128.Х. на выходе из IPsec по пути к 212.58.166.46?
                        Или по-другому - с каким адресом они приходят к 212.58.166.46 ?

                        1 Reply Last reply Reply Quote 0
                        • S
                          samwhet
                          last edited by

                          @werter:

                          IPSec висит на WAN ? Так ведь ? Какой адрес получают пакеты от 172.30.128.Х. на выходе из IPsec по пути к 212.58.166.46?
                          Или по-другому - с каким адресом они приходят к 212.58.166.46 ?

                          IPSEC само собой через Wan строился

                          Ну в Packet Capture при пинговке дает:
                          172.30.128.188 > 212.58.166.46: ICMP echo request, id 60804, seq 1, length 64
                          10:09:24.049405 (authentic,confidential): SPI 0x032b6d63: (tos 0x0, ttl 255, id 48278, offset 0, flags [none], proto ICMP (1), length 84)

                          Если не то, то через что и что конкретно нужно сделать для получения запрашиваемой информации.

                          1 Reply Last reply Reply Quote 0
                          • werterW
                            werter
                            last edited by

                            Может совет ув. rubic поможет в решении ?

                            https://forum.pfsense.org/index.php?topic=91883.msg508935#msg508935

                            … Удаляйте все static и policy routes, напрвляющие трафик в GRE, если таковые есть. Создавайте новую phase 2 в IPSec для подсети клиентов OpenVPN (Local Network) и там же в "In case you need NAT/BINAT on this network specify the address to be translated" делайте ей NAT в 192.168.1.254.

                            1 Reply Last reply Reply Quote 0
                            • S
                              samwhet
                              last edited by

                              @werter:

                              Может совет ув. rubic поможет в решении ?

                              https://forum.pfsense.org/index.php?topic=91883.msg508935#msg508935

                              … Удаляйте все static и policy routes, напрвляющие трафик в GRE, если таковые есть. Создавайте новую phase 2 в IPSec для подсети клиентов OpenVPN (Local Network) и там же в "In case you need NAT/BINAT on this network specify the address to be translated" делайте ей NAT в 192.168.1.254.

                              Я читал эту тему, но там две сети соеденины между собой по GRE
                              Я бы и рад создать новую фазу2, но к сожалению я могу менять параметры только на одной стороне и если что то прописываю не так, то не поднимется туннель.

                              1 Reply Last reply Reply Quote 0
                              • S
                                samwhet
                                last edited by

                                Голова что то уже совсем перестает варить.
                                Как заставить идущий трафик на сеть 212.58.166. из подсети 192.168.0.0 идти через 77.30.128.188?
                                У меня получается, что на компах где гейт по умолчанию 192.168.0.6 пинг моего виртуального идет.
                                Если сделать алиас на другом пк 172.30.128.190 то никто уже никуда не идет…

                                1 Reply Last reply Reply Quote 0
                                • S
                                  samwhet
                                  last edited by

                                  Кажется получилось :)
                                  Завтра отпишусь по результату

                                  1 Reply Last reply Reply Quote 0
                                  • First post
                                    Last post
                                  Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.